1/9 Expediente N.º: EXP202210442 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 06/09/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra CAIXABANK, S.A. con NIF A08663619 (en adelante, CAIXABANK), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “[…] PRIMERO.- La firmante suscribió un crédito hipotecario con Caixabank, en mayo de 2006. Que al contener la escritura cláusulas abusivas se han formulado contra el banco dos procedimientos judiciales ordinarios que están pendientes de sentencia firme. La prestataria viene consignando en el Juzgado cantidades que por cuotas se han ido devengando a cuenta del préstamo desde 2016. De los dos pleitos, el primero que data de 2016 está pendiente de sentencia en el Tribunal Supremo. El segundo se interpuso el pasado mes de abril y todavía no existe providencia de admisión. Caixabank, S.S. interpuso procedimiento ejecutivo contra la deudora, sin tener en cuenta las consignaciones efectuadas, está pendiente de un recurso de apelación en la AP de Barcelona. SEGUNDO.- Caixabank, S.A. ha cedido el crédito y todos los datos personales de la firmante y de sus padres al fondo irlandés, Promotora Yellowstone Designatet Activity Company, sin su consentimiento, contraviniendo el art. 20.2.
- b)de la Ley de Protección de datos al no ser la deuda ni líquida, ni estar vencida, ni ser exigible, al estar pendiente de la decisión de los tribunales tanto la liquidación del préstamo como su cuantía. […]” Junto a la reclamación aporta la siguiente documentación: - Copia de la carta, de fecha 09/08/2022, firmada por CAIXABANK y PROMONTORIA YELLOWSTONE DESIGNATED ACTIVITY COMPANY en la que comunican a la parte reclamante la cesión de derechos de su crédito a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 entidad PROMONTORIA YELLOWSTONE COMPANY. En su contenido se indica: DESIGNATED ACTIVITY “Ref. Notificación de cesión de derechos de crédito. Muy señor nuestro, Por la presente le notificamos que, con fecha 2 de junio de 2022, CAIXABANK, S.A y PROMOTORA YELLOWSTONE DESIGNATET ACTIVITY COMPANY, suscribieron un contrato de compraventa de derechos de crédito (elevado a público en virtud de la póliza intervenida el 27 de julio de 2022 por el Notario de Madrid (…). Por ello, si hubiese datos personales vinculados a los créditos de acuerdo con lo dispuesto en la normativa vigente sobre protección de datos personales, le informamos que: Los datos serán tratados por PROMOTORA YELLOWSTONE DESIGNATET ACTIVITY COMPANY (…). Las categorías de datos personales que Caixabank, S.A. ha transferido al cesionario en su condición de responsable del tratamiento son los vinculados con el contrato de compraventa, pudiendo exclusivamente consistir en una d elas siguientes categorías: o o o o o Datos personales como nombre, domicilio, fecha de nacimiento, estado civil, datos sobre hijos, imagen; Datos profesionales y laborales: tales como remuneración, rendimientos de trabajo, tipo de contrato, etc.; Documentación identificativa; Información financiera: número de cuenta bancaria; Datos relativos a disputas y ejecución de reclamaciones donde se incluye información relativa a la generada de procedimientos, disputas, negociaciones (…). La sociedad Finsoluta Spain, S.L.U. ha sido designada entidad encargada de la gestión y recuperación de los créditos y, en consecuencia, accederá a sus datos personales en calidad de encargado del tratamiento (…).” - Copia de la Providencia de admisión del recurso de casación y de la Diligencia de ordenación del recurso de apelación del procedimiento ejecutivo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 10/10/2022 se dio traslado de dicha reclamación a CAIXABANK, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10/10/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 11/10/2022 se recibe en esta Agencia escrito de respuesta en el que manifiesta lo siguiente: “[…] 1. La decisión adoptada a propósito de esta reclamación. Atendiendo a lo dispuesto en la reclamación presentada por el cliente, el mismo considera que CaixaBank ha comunicado sus datos personales y los de sus padres a una tercera entidad sin su consentimiento como consecuencia de la cesión del crédito del cual eran titulares. En este sentido, tal y como se indica en la carta enviada al cliente en fecha 9 de agosto de 2022, atendiendo a lo dispuesto en el artículo 347 del Código de Comercio, no es necesario el consentimiento del cliente para la cesión del crédito: “Artículo 347 Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste.” Siendo así, el único requerimiento para la cesión del crédito es la notificación de dicha transferencia. La notificación se realizó mediante la mencionada carta, de fecha 9 de agosto de 2022, que aporta el propio reclamante al procedimiento como Anexo número 2. Por ello, se concluye que la comunicación del crédito, así como la comunicación de los datos de los deudores es legítima y lícita, por lo que no se requiere adoptar ninguna decisión concreta en el marco de esta reclamación. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. El origen de la reclamación es la falta de conocimiento por parte del reclamante de la normativa que habilita a CaixaBank a ceder su crédito sin su consentimiento. Por tanto, al no tratarse de una incidencia, no procede realizar un informe en relación con las causas que la han originado. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. En el mismo sentido que el punto anterior, en este caso el motivo de la reclamación es la falta de conocimiento de la normativa que habilita a CaixaBank a ceder el crédito a una tercera entidad sin el consentimiento de su titular. Por lo tanto, siendo un tratamiento de datos lícito y que se ha realizado correctamente, no procede la adopción de medidas específicas.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 TERCERO: Con fecha 18/11/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Con fecha 09/01/2023, esta Agencia recibe escrito de contestación de FINSOLUTIA SPAIN, S.L. en el que adjunta la documentación necesaria para atender al requerimiento de información efectuado el 16/12/2022. En concreto, aporta lo siguiente: o En relación con la adquisición del crédito hipotecario de tercero: Testimonio notarial de elevación a público del contrato de compraventa de derechos de crédito entre CAIXABANK y PROMONTORIA YELLOWSTONE DESIGNATED ACTIVITY COMPANY (en adelante, PROMONTORIA YELLOWSTONE). En el documento figura como información sobre los datos personales de la reclamante y de sus padres que se cedieron junto con la adquisición del crédito: Número de Préstamo: ***PRÉSTAMO.1 TITULAR: A.A.A., ***NIF.1 TITULAR: B.B.B., ***NIF.2 TITULAR: C.C.C., ***NIF.3 Finca Registral: ***FINCA.1 o Nota simple del Registro de la Propiedad Número 13 de Barcelona en la que figura, por un lado, la inscripción de la titularidad de la finca propiedad de la parte reclamante sobre la que existe una hipoteca inscrita inicialmente a favor de CAIXABANK y, por otro lado, como parte deudora, la parte reclamante y sus padres, como parte hipotecante la parte reclamante y en la que consta inscrita como “Observaciones: Cedido el préstamo a PROMONTORIA YELLOWSTONE DESIGNATED ACTIVITY COMPANY con referencia al documento del testimonio notarial de elevación a público del contrato de compraventa de derechos aportado por el requerido”. En relación con la comunicación a la parte reclamante de la adquisición del crédito: C/ Jorge Juan, 6 28001 – Madrid Copia de las cartas conjuntas, de fecha 09/08/2022, de CAIXABANK y de la parte adquirente (PROMONTORIA YELLOWSTONE) de la cesión de los créditos en la que comunican a la parte reclamante y a sus padres que, en fecha 02/06/2022, se celebró el contrato de cesión de www.aepd.es sedeagpd.gob.es 5/9 o los créditos entre CAIXABANK y la adquirente, incluyendo el valor de la cesión del crédito. En relación con el cobro del crédito adquirido: Copia del correo electrónico enviado desde un correo corporativo de FINSOLUTIA (***EMAIL.1) a personal de la misma entidad (***EMAIL.2) y a otro correo corporativo de esta entidad (***EMAIL.1) indicando las gestiones tendentes al cobro desde su inicio el 06/09/2022 hasta el resto de las gestiones realizadas por parte del equipo legal. Certificado firmado conjuntamente por dos de las apoderadas de PROMONTORIA YELLOWSTONE DAC, en el que se indica que, a fecha de 08/01/2023, según el procedimiento judicial Nº ***PROCEDIMIENTO.1, hay un saldo total adeudado de XXX.XXX,XX€ más X.XXX,XX€ de intereses y X.XXX,XX€ de costas judiciales a favor de esta sociedad 2) Con fecha 18/01/2023, esta Agencia recibe escrito de contestación de CAIXABANK en el que adjunta la documentación necesaria para atender al requerimiento de información efectuado el 16/12/2022. En concreto, aporta lo siguiente: o En relación con la adquisición del crédito hipotecario de tercero: Escritura notarial correspondiente al préstamo hipotecario número ***PRÉSTAMO.1, titularidad de la reclamante y dos acreditados más. Testimonio notarial expedido por el notario de Madrid D. D.D.D., en el que da fe de: o La cesión de una cartera de créditos por parte de CAIXABANK S.A. (“CaixaBank”) a la entidad PROMONTORIA YELLOWSTONE en fecha ***FECHA.1 y mediante la escritura pública número X.XXX de su protocolo. o La información cedida por parte de CAIXABANK a la entidad consta en el apartado IV del testimonio notarial interesado: Número de Préstamo: ***PRÉSTAMO.1 TITULAR: A.A.A., ***NIF.1 TITULAR: B.B.B., ***NIF.2 TITULAR: C.C.C., ***NIF.3 Finca Registral: ***FINCA.1 o En relación con la comunicación a la parte reclamante de la adquisición del crédito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 o Copia de las cartas conjuntas, de fecha 09/08/2022, de CAIXABANK y de la parte adquirente (PROMONTORIA YELLOWSTONE) de la cesión de los créditos en la que comunican a la parte reclamante y a sus padres que, en fecha 02/06/2022, se celebró el contrato de cesión de los créditos entre CAIXABANK y la adquirente, incluyendo el valor de la cesión del crédito. En relación con el cobro del crédito adquirido: Copia del escrito remitido al Juzgado de 1º Instancia nº 25 de Barcelona en el que solicita la correspondiente sucesión procesal a favor de PROMONTORIA YELLOWSTONE DESIGNATED ACTIVITY COMPANY, como nuevo acreedor del crédito número ***PRÉSTAMO.1. 3) Con fecha 03/02/2023, los servicios de inspección enviaron requerimiento de información a la parte reclamante para la ampliar la información aportada en la reclamación. Sin embargo, en el certificado expedido por Correos figura que no ha podido realizar la notificación postal del requerimiento de información a la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
- a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 (…)” El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En este sentido, el Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” III Conclusión Con fecha 06/09/2022, tuvo entrada en esta Agencia una reclamación dirigida contra CAIXABANK por haber cedido datos personales de la parte reclamante y de sus padres a la entidad PROMONTORIA YELLOWSTONE DESIGNATET ACTIVITY COMC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 PANY, sin su consentimiento, como consecuencia de la venta del crédito del cual eran titulares. La documentación aportada en el expediente deja constancia de la existencia de una relación contractual entre la parte reclamante y CAIXABANK en virtud de la Escritura Pública Notarial de concesión de crédito abierto con garantía hipotecaria firmada ante el Notario del Ilustre Colegio Notarial de Cataluña D. E.E.E., en fecha 23/05/2006. Con posterioridad, CAIXABANK cedió a PROMONTORIA YELLOWSTONE el crédito referido en el párrafo anterior, tras suscribir un contrato de cesión de cartera de créditos, elevado a público el 27/07/2022. Como consecuencia de esta transmisión, y según testimonio de fe del Notario del Ilustre Colegio de Notarios de Madrid D. D.D.D., los datos que se comunicaron en relación con la parte reclamante y sus padres fueron los siguientes: - Número de préstamo: ***PRÉSTAMO.1. Titular: A.A.A., ***NIF.1. Titular: B.B.B., ***NIF.2. Titular: C.C.C., ***NIF.3. Finca Registral: ***FINCA.1. Al respecto, CAIXABANK ha informado que la cesión del crédito y, por consiguiente, de los datos personales, se produjo con base en lo dispuesto en el Código de Comercio que en su artículo 347 solo exige que se informe de esta actuación a los deudores, en este caso, a la parte reclamante y a sus padres. Así, tal y como ha quedado acreditado en el expediente, en fecha 09/08/2022 CAIXABANK junto con PROMONTORIA YELLOWSTONE comunicaron a los afectados la cesión realizada y sus consecuencias, especialmente, en materia de protección de datos de carácter personal. El RGPD exige que el tratamiento de datos personales sea lícito para lo cual deberá estar fundado en alguna de las bases jurídicas que relaciona en su artículo 6.1. A la luz de la documentación que obra en el expediente, parece evidente que el tratamiento de datos personales realizado por la entidad PROMONTORIA YELLOWSTONE se ampara en el supuesto que detalla la letra
- b)del citado precepto. La transmisión del crédito reseñado comporta la subrogación de PROMONTORIA YELLOWSTONE en los derechos y obligaciones de CAIXABANK para con la parte reclamante; siendo necesario el tratamiento de los datos personales de la parte reclamante y de sus padres para la ejecución del préstamo hipotecario. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, al no haberse acreditado el tratamiento de datos personales sin causa legitimadora. De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es